← España

PS-00645-2014

1/19 Procedimiento Nº PS/00645/2014 RESOLUCIÓN: R/00320/2015 En el procedimiento sancionador PS/00645/2014, instruido por la Agencia Española de Protección de Datos a las entidades FIV MARBELLA S.L. y OVAVIT S.L., vista la denuncia presentada por la Consejería de Igualdad, Salud y Políticas Sociales de la Junta de Andalucía, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 3 de febrero de 2014, se recibe en esta Agencia escrito de la Consejería de Igualdad, Salud y Políticas Sociales de la Junta de Andalucía, con el que adjunta copia de un Informe emitido por un Inspector Médico, tras la inspección realizada en los locales de los Centros de OVAVIT, S.L., (en adelante OVAVIT) cuya marca comercial es OVOBANK y de FIV MARBELLA, S.L., (en adelante FIV MARBELLA). En el informe figuran, entre otros, ciertos hechos que podrían suponer un incumplimiento de la Ley 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fechas 7 y 12 de agosto de 2014, se realizan visitas de inspección por la Agencia Española de Protección de Datos en los locales de las citadas entidades, en el transcurso de las cuales se ponen de manifiesto los siguientes hechos: 1.1. OVOBANK es una marca comercial utilizada para comercializar en su página web los servicios prestados por OVAVIT, siendo ésta la empresa titular. 1.2. La entidad FIV MARBELLA es una Clínica dedicada a técnicas de reproducción asistida, fecundación in vitro, inseminación, etc., que presta estos servicios desde junio de 2012. 1.3. En el mes de junio de 2013, se crea OVAVIT, cuya actividad es la de banco de óvulos, cambiando la denominación de esta finalidad con fecha 31 de julio de 2013, mediante Orden del Ministerio de Sanidad, a Unidad Asistencial de Recuperación de Ovocitos. 1.4. FIV MARBELLA, para llevar a cabo su actividad suscribió un contrato de prestación de servicios con OVAVIT, con fecha 27 de junio de 2013, cuyo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 objeto es la obtención de ovocitos de donantes de pacientes de FIV MARBELLA, en el marco de su gestión como banco de óvulos. Se adjunta copia del citado contrato, así como copia de la información que se suministra a OVAVIT, correspondiente a una donante. 1.5. Asimismo, OVAVIT, ha suscrito contrato de prestación de servicios con 15 Centros Colaboradores, 13 de ellos se encuentran en España, 1 en Portugal y 1 en Panamá, todos ellos dedicados a las especialidades de “Obstetricia, Ginecología y Reproducción”, siendo OVAVIT, el prestador de servicios de captación y selección de Donantes de Ovocitos y su posterior recuperación, vitrificación y transporte de los ovocitos para su uso en el Centro Colaborador. No obstante, los contratos suscritos con fecha anterior al 31 de julio de 2013, fecha de creación de OVAVIT, están suscritos con FIV MARBELLA. Se adjunta copia de dichos contratos, así como los Protocolos de actuación en materia de donación de ovocitos, establecidos entre OVOBANK SPAIN y cada uno de los Centros Colaboradores. No obstante, el representante de las entidades manifestó que actualmente se ha cambiado el contenido del Protocolo, en cuanto a los datos que se transfieren de la donante, y que van a proceder al envío a los diferentes Centros Colaboradores para que suscriban el nuevo documento. Se adjunta nuevo Protocolo. 1.6. FIV MARBELLA cuenta con un fichero inscrito en el Registro General de Protección de Datos denominado HISTORIAS CLINICAS, con fecha de inscripción 16/05/2012, en el que se encuentran registrados los datos de sus pacientes, así como los de las donantes de óvulos. Parte de la información correspondiente a las donantes es cedida a OVAVIT, en el marco del contrato suscrito entre las dos entidades, la cual tiene registrado un fichero con el mismo nombre en el Registro General de Protección de Datos, con fecha de inscripción 25/03/2014, donde se encuentran registrados los datos de las donantes necesarios para el desarrollo de su actividad. No obstante, el representante de las entidades manifiesta que, con fecha 11/08/2014, han procedido a solicitar al Registro General de Protección de Datos la inscripción de un nuevo fichero denominado DONANTES, por parte de FIV MARBELLA, con objeto de incluir en el mismo solo la información de las donantes que utiliza OVAVIT. Así mismo, OVAVIT va a proceder al cambio de denominación de su fichero HISTORIAS CLINICAS por DONANTES, donde almacenara la información de las donantes. 1.7. El fichero de FIV MARBELLA cuenta con un total de 1097 registros, de los cuales 330 corresponden a donantes. Parte de la información correspondiente a las donantes aptas, podrá ser cedida a OVAVIT, para su gestión como Banco de Óvulos. 1.8. Los datos de las donantes que son excluidas para la donación, son conservados en el fichero de FIV MARBELLA, ya que la donante podría acudir en otra ocasión y necesitan saber los motivos de la exclusión en su día. 1.9. Hasta la fecha, no se ha producido ninguna cancelación de datos, ni por antigüedad de la información ni por solicitud de ningún paciente y/o donante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 1.10.Desde OVAVIT, se remite la siguiente información a los Centros Colaboradores, relativa a las donantes de los óvulos que les han sido enviados: - Código de referencia de la donante - País de origen - Fecha de nacimiento - Nivel de estudios - Hijos previos - Raza - Color de piel - Color de pelo y textura - Color de ojos - Talla y peso - Índice de masa corporal - Grupo sanguíneo y Rh - Fotografía de la donante - Resultado de pruebas médicas realizadas a la donante. - Resultados de visita ginecológica - Resultado de visita psicológica 1.11.Asimismo, los Centros Colaboradores tienen la obligación de remitir a OVAVIT, información sobre los resultados de la actividad llevada a cabo con los óvulos, remitiendo la siguiente información; - Código de donante - Número de óvulos descongelados - Número de óvulos sobrevividos - Número de óvulos fertilizados - Nivel de desarrollo del embrión - Número de embriones transferidos - Número de embriones congelados - Si hubo embarazo o no - Si la receptora es nacional o internacional - Cualquier tipo de anomalía durante el embarazo de la receptora. 1.12.Toda la información tanto desde OVAVIT a los Centros Colaboradores como a la inversa, es remitida vía e-mail, comprimida mediante WINZIP y accesible mediante una clave que es proporcionada en ambos casos telefónicamente, que debe contener al menos ocho caracteres alfanuméricos. 1.13.Cuando una donante manifiesta su deseo de donar óvulos, se utiliza el modelo de contrato de la Sociedad Española de Fertilidad denominado CONTRATO DE DONACION DE OVOCITOS CON FINES REPRODUCTIVOS, suscribiendo los siguientes documentos: 1.13.1.Modelo de contrato citado en el apartado anterior, donde constan sus datos personales y los del Centro donde se realizara la punción de los ovarios, en este caso FIV MARBELLA; asimismo consta una cláusula de Protección de Datos donde se informa a la donante de la inclusión de sus datos en el fichero DONANTES y los derechos ARCO. 1.13.2.Cláusula de Protección de Datos en la que, se le vuelve a informar de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 inclusión de sus datos en los ficheros de FIV MARBELLA y de su cesión a la empresa OVAVIT y a posibles Centro Colaboradores, así como de donde podrá ejercer sus derechos de Acceso, Rectificación, Cancelación y Oposición. 1.13.3.Consentimiento Donación de Ovocitos, en el que se le informa sobre aspectos médicos, así como de que su información será custodiada en el más estricto secreto. Asimismo, se informa, que en circunstancias extraordinarias que comporten peligro para la salud del nacido, o cuando proceda de acuerdo con las leyes procesales penales, podrá revelarse la identidad de las donantes, con carácter restringido y sin que ello modifique nunca la filiación establecida previamente. También se le informa de que los óvulos, así como los datos personales e Historial médico, podrán ser mandados a Centros Colaboradores de OVAVIT, S.L. (con quien FIV MARBELLA, S.L. tiene un contrato de Prestación de servicios), tanto nacionales como internacionales dentro y fuera del Espacio Europeo. 1.14.Cuando comienza el proceso de donación, la donante ha de cumplimentar un cuestionario relativo a datos de salud y enfermedades padecidas por ella y sus antecesores. Dichos cuestionarios, así como las pruebas y análisis clínicos realizados, se incluyen en el fichero automatizado desde hace siete u ocho meses, aunque los resultados analíticos remitidos por el laboratorio son conservados en una Historia clínica en papel. La información de las donantes anteriores a la fecha de automatización de esa información, es incluida íntegramente en la Historia clínica en papel, la cual se encuentra ubicada en un archivo en las instalaciones de FIV MARBELLA, tampoco son cedidos estos cuestionarios ni a OVAVIT ni a los Centros Colaboradores. 1.15.Posteriormente cuando toda la Historia clínica se encuentra completa, la donante entra en la lista de posibles donantes. Cuando aparece una paciente compatible con ésta, comienza el proceso de donación. 1.16.Para la gestión de toda la información almacenada en su fichero, FIV MARBELLA suscribió un contrato de prestación de servicios con la empresa REPROSOFT, S.L., con la finalidad de regular los términos y condiciones según los cuales esta entidad prestará sus servicios y dará licencia de uso del software de su propiedad, figurando REPROSOFT, S.L., como “Encargado del Tratamiento” En dicho contrato, FIV MARBELLA autoriza a REPROSOFT, S.L. a realizar las subcontrataciones necesarias para llevar a cabo la Prestación de servicio. 1.17.Con esta finalidad REPROSOFT, S.L. suscribió un contrato con la empresa NATURALSOFT SOLUTIONS, S.L., encargada de desarrollar el Software necesario para la creación de la aplicación VREPRO, para la gestión de la Base de Datos de FIV MARBELLA. Así mismo, NATURALSOFT SOLUTION, S.L., es la encargada de la gestión y mantenimiento de la base de datos, así como de dar respuesta al ejercicio de derecho de acceso rectificación, cancelación y oposición, gestión de usuarios y asignación de perfiles a solicitud del cliente, etc. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 1.18.A su vez, NATURALSOFT, S.L. tiene suscrito un contrato de Prestación de servicios con la entidad VELNEO, S.A., la cual cuenta entre sus actividades con un servicio denominado VELNEO CLOUD que utiliza infraestructura física de servidores de la empresa AMAZON WEB SERVICES LLC, ubicada en Irlanda. El objeto de dicho contrato es poner a disposición de NATURAL SOFT, S.L. (CLIENTE) la plataforma VELNEO CLOUD, con las siguientes funcionalidades, entre otras: 1.18.1.Suministro de espacio en disco y almacenamiento al Cliente. 1.18.2.Desarrollo de aplicaciones informáticas utilizando Velneo V7 dentro del espacio en disco y almacenamiento suministrado. 1.18.3.Permite la ejecución de aplicaciones informáticas dentro del espacio en disco o almacenamiento suministrado, facilitando su uso por usuarios finales de las aplicaciones. 1.18.4.Asimismo, VELNEO ofrece un servicio de copias de seguridad de los datos alojados en la plataforma VELNEO CLOUD por el Cliente, realizándose una copia de seguridad diaria de todos los datos alojados por el cliente en su infraestructura VELNEO CLOUD, guardándose los datos de la última copia. 1.19.Asimismo, FIV MARBELLA y OVAVIT, tienen suscrito un contrato de prestación de servicios con EUGENE NOWEE, para el mantenimiento de la página web y copias de seguridad del servidor de correo electrónico de ambas entidades, puesto que toda la información remitida tanto a los prestadores de servicios como a los Centros colaboradores se almacena en el mismo. 1.20.Las instalaciones de ambas entidades cuenta con siete Ordenadores Personales ubicados en distintos lugares, a los que se accede mediante usuario y contraseña. Cada puesto de trabajo tiene acceso a la información asociada a su perfil de acuerdo con el puesto de trabajo que desempeña. 1.21.Las inspectoras de la Agencia solicitan al representante de las entidades, el acceso al Sistema Informático realizando las siguientes comprobaciones mediante acceso al Menú de entrada de la aplicación VREPRO, verificándose que solicita usuario y contraseña para acceder. Se accede mediante el usuario y la contraseña del Director, verificándose que: 1.22.En la pestaña de usuarios y perfiles figuran todos los usuarios de ambos centros con sus perfiles asociados. Se comprueba que existen los siguientes perfiles: - Administración - Equipo médico - Recepción - Todos (Director) 1.23.Se verifica la existencia de un registro de accesos a la aplicación donde consta: Usuario, Aplicación, Fecha y Hora, Origen actividad, Tipo de actividad, Información a la que se accede, Información del registro, Máquina, Servidor y Dirección IP. 1.24.En la pestaña correspondiente a las donantes, se elige una donante al azar y se verifica que existe información asociada a la misma, tanto de identidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 como datos médicos y fechas de visitas, así como una fotografía de la misma. Asimismo se comprueba que existe información recogida en el test previo que cumplimenta la donante. 1.25.En la pestaña correspondiente a la información suministrada a los receptores, se verifica que consta tanto los datos relativos a la Historia clínica de la receptora como de la pareja, en su caso. 1.26.En la pestaña correspondiente a AGENDA, única utilidad a la que tendría acceso el personal de administración, se verifica que únicamente constan los datos identificativos del paciente, día y hora, Profesional que le atiende y la Procedencia (Privado o Sociedades médicas). 1.27.Se comprueba mediante acceso a la bandeja de correo electrónico donde se almacenan los e-mail que son remitidos a los Centros Colaboradores, que existen diferentes correos electrónicos remitidos a diferentes Centros Colaboradores. Se elige uno al azar, verificándose que contienen cuatro ficheros adjuntos, a los que solo se accede mediante una clave. 1.28.Las inspectoras de la Agencia solicitan al representante de ambas entidades el acceso al archivo donde se encuentran almacenadas las Historias Clínicas en papel, verificándose que se encuentra dentro de un despacho cerrado con llave, la cual es custodiada por el personal de administración; en su interior se encuentran dos archivadores metálicos también cerrados con llave. Se elige una Historia al azar comprobándose que en su interior se encuentra la siguiente documentación. - Cuestionario que cumplimenta la posible donante - Analíticas - Pruebas médicas - Contrato - Consentimiento - Informes médicos. - Documento denominado “Cláusula de Protección de Datos” El representante de ambas entidades manifiesta, que a la Historia clínica solo acceden los profesionales con perfil sanitario, es decir, médicos, enfermeras y embriólogos. Para el Control de acceso al Archivo de Historias clínicas cuentan con un documento en papel donde figura: Usuario, Historia clínica, Fecha, Hora, Persona que autoriza, Firma y Fecha de Devolución. . 1.29.Se accede a la Página web de FIV MARBELLA comprobándose que existe un cuestionario que se cumplimenta por las personas que quieren solicitar información, donde se recoge el nombre, teléfono, Horario de llamada y Mensaje. Se verifica que existe política de privacidad con cláusula informativa con relación a la LOPD. El representante de las entidades manifiesta que cuando una persona se pone en contacto con FIV MARBELLA a través de la página web, al enviar los datos del cuestionario, se genera una entrada en el correo electrónico de FIV MARBELLA en la dirección: info@......, a la cual accede el personal administrativo, que es el encargado de ponerse en contacto con el paciente y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 concertar una cita informativa. Se realiza una consulta con datos ficticios, verificándose que en la bandeja de correo electrónico info@......, se recibe un correo con los datos del solicitante. 1.30.Se verifica la existencia de Documento de Seguridad al que hace referencia el artículo 88 del Real Decreto por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre de protección de datos de carácter personal, donde constan las medidas de seguridad establecidas por dichas entidades para asegurar la salvaguarda y confidencialidad de los datos que obran en su poder, para el servicio prestado a los pacientes. 1.31.Todos los trabajadores de ambas entidades firman la Cláusula de Confidencialidad a la firma de su contrato de trabajo, verificándose que existen todos los documentos firmados por los trabajadores de ambas entidades. Con fecha 22 de agosto de 2014 se recibe, a través de correo electrónico remitido por el Gerente de ambas entidades, copia del contrato suscrito entre Naturalsoft Solutions, S.L. y REPROSOFT, S.L., y manifiesta que el contrato entre VELNEO y AMAZON no le ha sido facilitado por parte de REPROSOFT. TERCERO: Con fecha 12 de diciembre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a las entidades FIV MARBELLA S.L. y OVAVIT S.L., por presunta infracción del artículo 11.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. k)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de la citada LOPD. CUARTO: Notificado el acuerdo de inicio, las entidades FIV MARBELLA S.L. y OVAVIT S.L. formularon alegaciones, significando, que: “A los efectos previstos en el artículo 8 del Real Decreto 1398/1.993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora y del establecimiento de la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente a la gravedad a aquella en que se integra la considerada en el presente caso, de acuerdo con lo previsto en el artículo 45.5
  2. d)de la ley 15/1.999 de 13 de diciembre de protección de datos de carácter personal, se procede mediante el presente escrito EN NOMBRE DE OVAVIT S.L. al reconocimiento voluntario de la responsabilidad, solicitando que del resultado de las alegaciones del presente escrito resulte de aplicación el artículo 45.1 LOPD, en relación con el principio de proporcionalidad establecido en el art. 131 de la Ley 30/95 de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, ya que no existe intencionalidad ni reiteración en una conducta sancionable, y por entender que no se ha causado perjuicio alguno. (…) En tanto en cuanto se aclara esta situación, se ha cesado en la citada práctica, no remitiéndose a ningún centro la fotografía de las donantes, incluso desde antes del inicio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 del presente expediente sancionador (por recomendación de los inspectores), con objeto de que este extremo sea valorado convenientemente. (…) La custodia y rigor de confidencialidad son plenamente exigibles con la existencia de fotografía, y dado que no hay prohibición expresa, entenderíamos que se ha de valorar a la hora de modular la sanción que podría no vulnerarse la norma, habiéndose creado una apariencia de legalidad de la actitud, encuadrado en un error de prohibición (principio de derecho penal plenamente aplicable al caso y que exonera de responsabilidad) haciendo una interpretación de la misma, por lo que puede quedar el presente expediente en un simple apercibimiento o en la imposición de la sanción mínima, aplicando el principio de proporcionalidad y por no ser reincidente. (…) Debemos solicitar, que se valore por éste órgano que en ningún caso se ha actuado de mala fe o con temeridad, puesto que en todo momento se ha procedido de acuerdo con criterios médicos y clínicos, (…) Tanto es así, que antes de que se iniciara éste expediente, como se ha dicho anteriormente, se ha dejado de enviar de forma interna, entre los centros colaboradores, la fotografía de las donantes, circunscribiéndose la información remitida a los datos estrictamente médicos, de acuerdo con lo dispuesto en el artículo 11.1 LOPD.“ Concluyen las alegaciones solicitando que: “acuerde respecto a la mercantil FIV MARBELLA SL, el archivo del procedimiento eximiéndole de las responsabilidades administrativas que se le imponen y en relación a OVAVIT SL dado que ha reconocido voluntariamente la responsabilidad que se aplique lo previsto en el artículo 8 deI Real Decreto 139811.993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora y del establecimiento de la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente a la gravedad a aquella en que se integra la considerada en el presente caso, siendo de igual forma de aplicación lo previsto en el artículo 45.5
  3. d)de la ley 15/1.999 de 13 de diciembre de protección de datos de carácter personal, solicitando que del resultado de las alegaciones del presente escrito se estime acordar aplicar la cuantía mínima de sanción conforme el artículo 45.1 LOPD, en relación con el principio de proporcionalidad establecido en el art. 131 de la Ley 30195 de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, ya que no existe intencionalidad ni reiteración en una conducta sancionable, y por entender que no se ha causado perjuicio alguno.” QUINTO: Al haberse reconocido la responsabilidad por una de las entidades imputadas, procede la aplicación de lo dispuesto en el artículo 8.1 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, que dispone que “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”, por lo que se eleva al Director de la Agencia Española de Protección de Datos a los efectos de que dicte resolución al respecto. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 PRIMERO: En agosto de 2014 se realizaron visitas por la Inspección de esta Agencia Española de Protección de Datos a las entidades Fiv Marbella y Ovavit en la que se pusieron de manifiesto los siguientes hechos: La entidad FIV MARBELLA es una clínica dedicada a técnicas de reproducción asistida, fecundación in vitro, inseminación, etc., que presta estos servicios desde junio de 2012. En el mes de junio de 2013, se crea la entidad OVAVIT, cuya actividad es la de banco de óvulos, denominación esta que cambia con fecha 31 de julio de 2013, mediante Orden del Ministerio de Sanidad, a Unidad Asistencial de Recuperación de Ovocitos. FIV MARBELLA y OVAVIT suscribieron un contrato de colaboración y prestación de servicios el 27 de junio de 2013. OVAVIT, ha suscrito contrato de prestación de servicios con 15 Centros Colaboradores, dedicados a las especialidades de “Obstetricia, Ginecología y Reproducción”, a quienes presta los servicios de captación y selección de donantes de ovocitos y la posterior recuperación, vitrificación y transporte de los ovocitos para su uso en el Centro Colaborador. Ambas entidades cuentan con su respectivo fichero de datos de carácter personal de sus pacientes y de las donantes de óvulos que está inscrito en el Registro General de Protección de Datos. SEGUNDO: Desde OVAVIT, se remite la siguiente información a los Centros Colaboradores, relativa a las donantes de los óvulos que les han sido enviados: - Código de referencia de la donante - País de origen - Fecha de nacimiento - Nivel de estudios - Hijos previos - Raza - Color de piel - Color de pelo y textura - Color de ojos - Talla y peso - Índice de masa corporal - Grupo sanguíneo y Rh - Fotografía de la donante - Resultado de pruebas médicas realizadas a la donante. - Resultados de visita ginecológica - Resultado de visita psicológica Toda la información, desde OVAVIT a los Centros Colaboradores y a la inversa, es remitida vía e-mail, comprimida mediante WINZIP y accesible mediante una clave que es proporcionada telefónicamente, que debe contener al menos ocho caracteres alfanuméricos. TERCERO: Para la donación de óvulos se utiliza el modelo de contrato de la Sociedad Española de Fertilidad denominado “Contrato de donación de ovocitos con fines C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 reproductivos”, suscribiendo la donante los siguientes documentos: Modelo de contrato donde constan sus datos personales y los del Centro donde se realizará la punción de los ovarios, en este caso, FIV MARBELLA. El contrato dispone de una cláusula de Protección de Datos donde se le informa de la inclusión de sus datos en el fichero DONANTES y los derechos ARCO que le asisten. Cláusula de Protección de Datos en la que, se le vuelve a informar de la inclusión de sus datos en los ficheros de FIV MARBELLA y de su cesión a la empresa OVAVIT y a posibles Centro Colaboradores, así como de dónde podrá ejercer sus derechos de Acceso, Rectificación, Cancelación y Oposición. Consentimiento Donación de Ovocitos, en el que se le informa sobre aspectos médicos, así como de que su información será custodiada en el más estricto secreto. Asimismo se informa de que en circunstancias extraordinarias que comporten peligro para la salud del nacido, o cuando proceda, de acuerdo con las leyes procesales penales, podrá revelarse la identidad de las donantes, con carácter restringido y sin que ello modifique nunca la filiación establecida previamente. También se le informa de que los óvulos, así como los datos personales e historial médico, podrán ser mandados a Centros Colaboradores de OVAVIT, S.L. (con quien FIV MARBELLA, S.L. tiene un contrato de Prestación de servicios), tanto nacionales como internacionales dentro y fuera del Espacio Europeo. CUARTO: En la visita de inspección llevada a cabo por esta Agencia Española de Protección de Datos en agosto de 2014 en las dependencias de las dos entidades imputadas, se accedió al Sistema informático y se pudo comprobar que la aplicación VREPRO, dispone de un procedimiento de usuario y contraseña para acceder. Se accede mediante el usuario y la contraseña del Director, verificándose que: Existen distintos perfiles para cada tipo de usuario de ambos centros. Existe un registro de accesos a la aplicación donde consta: Usuario, Aplicación, Fecha y Hora, Origen actividad, Tipo de actividad, Información a la que se accede, Información del registro, Máquina, Servidor y Dirección IP. Se accedió al registro de una donante al azar y se comprueba que contiene: datos de identidad, datos médicos, fechas de visitas, una fotografía e información recogida en el test previo que cumplimenta la donante. En la inspección se accedió la bandeja de correo electrónico donde se almacenan los email remitidos a los Centros Colaboradores, se eligió uno al azar, y se comprobó que contiene cuatro ficheros adjuntos, a los que solo se accede mediante una clave. QUINTO: En la visita de inspección se accedió al archivo de las historias clínicas en papel, comprobando que se encuentra en un despacho cerrado con llave que custodia el personal de administración, en su interior hay dos archivadores metálicos cerrados con llave. Se elige una historia al azar que contiene la siguiente documentación: cuestionario que cumplimenta la posible donante, analíticas, pruebas médicas, contrato, consentimiento, informes médicos y documento denominado “Cláusula de Protección de Datos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 El representante de ambas entidades manifiesta, que a la Historia clínica solo acceden los profesionales con perfil sanitario: médicos, enfermeras y embriólogos. Cuentan con un registro de accesos al archivo de historias clínicas, SEXTO: Se verifica durante la citada inspección, la existencia del Documento de Seguridad al que hace referencia el artículo 88 del Real Decreto 1720/2007 por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal, donde constan las medidas de seguridad establecidas por dichas entidades para asegurar la salvaguarda y confidencialidad de los datos que obran en su poder, para el servicio prestado a los pacientes. Todos los trabajadores de ambas entidades firman la Cláusula de Confidencialidad a la firma de su contrato de trabajo, verificándose que existen todos los documentos firmados por los trabajadores de ambas entidades. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  4. g)en relación con el artículo 36 de la LOPD. II En relación con los hechos que se imputan en el presente procedimiento, se hace necesario, en primer lugar, transcribir los conceptos de datos de carácter personal, fichero, tratamiento de datos y responsable del fichero o del tratamiento, consentimiento y cesión de datos que se acuñan en los apartados a), b), c), d),
  5. h)e
  6. i)del artículo 3 de la LOPD. De este modo, tenemos que: “
  7. a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
  8. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
  9. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19
  10. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. (…)
  11. h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.
  12. i)Cesión o comunicación de datos: Toda revelación de datos realizada a una persona distinta del interesado”. Por su parte, la Directiva 95/46/CE, del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, se refiere en su artículo 2.
  13. b)a la cesión, dentro de la definición del tratamiento de datos, y la define como “comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso de los datos, cotejo o interconexión.” III Se imputa a las entidades FIV MARBELLA S.L. y OVAVIT S.L., una infracción del artículo 11 de la LOPD, que dispone en sus apartados 1 y 2 lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  14. a)Cuando la cesión está autorizada en una Ley.
  15. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  16. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
  17. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
  18. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19
  19. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica”. Añade el punto 3 del citado artículo 11 de la LOPD que “será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar”. Son elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso se ha acreditado, en la visita realizada por la Inspección de Datos de esta Agencia en agosto de 2014, que la entidad Fiv Marbella es una clínica dedicada a técnicas de reproducción asistida y que la actividad de la entidad Ovavit es la de banco de óvulos. Que ambas entidades suscribieron un contrato de colaboración y prestación de servicios con fecha 27 de junio de 2013. A su vez, la entidad Ovavit ha suscrito contratos de prestación de servicios con 15 centros colaboradores dedicados a las especialidades de obstetricia, ginecología y reproducción. Ovavit presta los servicios de captación y selección de donantes de ovocitos y la posterior recuperación, vitrificación y transporte de los ovocitos para su uso en el Centro Colaborador. En la visita de inspección realizada por esta AEPD a las dependencias de ambas entidades se puso de manifiesto que desde Ovavit se envía a los centros colaboradores una serie de datos relativos a las donantes de los óvulos entre los que se encuentra una fotografía de la donante. Los representantes de ambas entidades han manifestado que las donantes firman una cláusula de protección de datos en la que autorizan la cesión de sus datos personales (nombre, foto, DNI, etc) para que puedan ser cedidos a terceros que actúan como colaboradores para dar cumplimiento al servicio sanitario requerido. La ley 14/2006, de 26 de mayo, sobre técnicas de reproducción humana asistida establece en su artículo 1.1 su objeto: “
  20. a)Regular la aplicación de las técnicas de reproducción humana asistida acreditadas científicamente y clínicamente indicadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19
  21. b)Regular la aplicación de las técnicas de reproducción humana asistida en la prevención y tratamiento de enfermedades de origen genético, siempre que existan las garantías diagnósticas y terapéuticas suficientes y sean debidamente autorizadas en los términos previstos en esta Ley.
  22. c)La regulación de los supuestos y requisitos de utilización de gametos y preembriones humanos crioconservados.” En esta ley son múltiples las referencias a la confidencialidad y anonimato de los donantes que han de observarse en este ámbito. Así, en el artículo 3 sobre “Condiciones personales de la aplicación de las técnicas”, se establece en su punto 6: “Todos los datos relativos a la utilización de estas técnicas deberán recogerse en historias clínicas individuales, que deberán ser tratadas con las debidas garantías de confidencialidad respecto de la identidad de los donantes, de los datos y condiciones de los usuarios y de las circunstancias que concurran en el origen de los hijos así nacidos. No obstante, se tratará de mantener la máxima integración posible de la documentación clínica de la persona usuaria de las técnicas”. El artículo 5.5 de la citada Ley 14/2006, establece que: “La donación será anónima y deberá garantizarse la confidencialidad de los datos de identidad de los donantes por los bancos de gametos, así como, en su caso, por los registros de donantes y de actividad de los centros que se constituyan. Los hijos nacidos tienen derecho por sí o por sus representantes legales a obtener información general de los donantes que no incluya su identidad. Igual derecho corresponde a las receptoras de los gametos y de los preembriones. Sólo excepcionalmente, en circunstancias extraordinarias que comporten un peligro cierto para la vida o la salud del hijo o cuando proceda con arreglo a las Leyes procesales penales, podrá revelarse la identidad de los donantes, siempre que dicha revelación sea indispensable para evitar el peligro o para conseguir el fin legal propuesto. Dicha revelación tendrá carácter restringido y no implicará en ningún caso publicidad de la identidad de los donantes.” En el presente caso ha quedado acreditado que por parte de la entidad Ovavit se envía a los centros colaboradores una serie de datos relativos a las donantes de los óvulos entre los que se encuentra una fotografía de la donante. La imagen de una persona física constituye un dato de carácter personal toda vez que puede vincularse a una persona física identificada o identificable. La información suministrada por Ovavit a los centros colaboradores, en lo relativo al dato de la fotografía de la donante, se refiere por tanto a personas identificables. El envío del dato de carácter personal de la fotografía de la donante de óvulos a los centros colaboradores, constituye una actividad que permite la identificación de la persona. Por esta razón se considera que no se cumple con la exigencia de anonimato y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 confidencialidad que debe regir esta práctica según lo previsto en la mencionada ley 14/2006 y en su artículo 5.5 que prevé que “La donación será anónima y deberá garantizarse la confidencialidad de los datos de identidad de los donantes por los bancos de gametos, así como, en su caso, por los registros de donantes y de actividad de los centros que se constituyan.” El representante de las entidades denunciadas ha manifestado “que siempre se ha garantizado la confidencialidad de la identidad de la donante, ya que ésta ha autorizado de forma expresa que los datos sean facilitados a las empresas colaboradoras, como se recoge en el contrato entre la donante y el centro”. Si la cesión del dato de la fotografía permite la identificación de la donante, la confidencialidad de su identidad no puede garantizarse por el hecho de que esa persona autorice la cesión de sus datos. En este caso lo que ocurre es que al entregar la fotografía a los centros colaboradores se está identificando a la donante en contra de la exigencia de anonimato prevista en la ley y que el consentimiento recabado al respecto no permite la cesión de un dato de carácter personal que la ley prohíbe. Por otra parte, no se acredita tampoco la concurrencia de las circunstancias excepcionales previstas en el mismo artículo 5.5 de la ley 14/2006, en las que se podrá revelar la identidad de los donantes. En el presente caso nos encontramos ante un tratamiento de datos personales, la imagen de una persona, en su versión de cesión o comunicación a terceros: la cesión es, según el art. 3.
  23. i)LOPD, “toda revelación de datos realizada a una persona distinta del interesado” cesión que la ya citada ley 14/2006, prohíbe expresamente. Los datos personales que se custodian en los archivos de las entidades denunciadas, son datos de carácter personal que, por lo tanto, están sujetos al ámbito de aplicación de la LOPD por ser datos de personas físicas. La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  24. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. En la misma línea el artículo 5.1
  25. q)del RDLOPD define como responsable del fichero o del tratamiento a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Por lo que debe entenderse que la expresión “responsables de los ficheros”, contenida en el precitado artículo 43.1 de la LOPD, se refiere tanto a los responsables del fichero como a los responsables de los tratamientos. Dentro de la doctrina expuesta y de conformidad con las definiciones citadas en el presente caso, se considera que la entidad Ovavit es, según lo que establece el citado artículo 5.5 de la ley 14/2006, la responsable del fichero y del tratamiento de los datos de carácter personal de las donantes, de quienes no se garantiza la confidencialidad de su identidad según dispone el citado artículo al exponer que: los bancos de gametos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 garantizarán la confidencialidad de los datos de identidad de los donantes. En este sentido cabe exonerar de responsabilidad a la entidad Fiv Marbella, toda vez que la Ley exige el requisito de la garantía de confidencialidad de la identidad de las donantes a los bancos de gametos, que en esta ocasión se identifica con la entidad Ovavit. En este caso, la entidad Ovavit cede los datos de las donantes a los centros colaboradores sin que se garantice la confidencialidad de sus datos de identidad, por lo que debe entenderse vulnerado el artículo 11 de la LOPD. IV El artículo 44.3.
  26. k)de la LOPD especifica que constituye infracción de carácter grave: “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. Como ya se ha señalado, la actuación de la entidad OVAVIT es constitutiva de infracción del artículo 11.1 de la LOPD, por comunicar datos personales de las donantes de óvulos a los centros colaboradores, actuación con la que no se garantiza la confidencialidad de su identidad según lo previsto en la ley 14/2006, hecho que encuentra su tipificación en el artículo 44.3.k). V El artículo 45 .1 .2 .4 y .5 de la LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a. El carácter continuado de la infracción. b. El volumen de los tratamientos efectuados. c. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d. El volumen de negocio o actividad del infractor. e. Los beneficios obtenidos como consecuencia de la comisión de la infracción. f. El grado de intencionalidad. g. La reincidencia por comisión de infracciones de la misma naturaleza. h. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 i. j. La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” De conformidad con el análisis realizado se considera que se ha incurrido en la infracción grave descrita por parte de la entidad Ovavit. Así, ha quedado acreditado que esta entidad cede datos de carácter personal que identifican a las donantes de óvulos, a los centros colaboradores, actuación que no garantiza la confidencialidad de sus datos de identidad según lo exigido en la ley 14/2006 por lo que debe entenderse vulnerado el artículo 11 de la LOPD. El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo, o bien de alguna otra de las circunstancias que el mismo precepto cita. Atendidas las circunstancias del presente caso, no puede obviarse que en esta ocasión se aprecia una cualificada disminución de la culpabilidad en la actuación de la entidad imputada a efectos de la aplicación del artículo 45 .5. En este caso se considera que concurren significativamente los supuestos de los apartados b y d del punto 5 del artículo 45 porque Ovavit ha manifestado, en las alegaciones al acuerdo de iniciación de este procedimiento, tanto que reconoce su culpabilidad como que ha regularizado la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 situación irregular de forma diligente porque ha cesado en la citada práctica y no se remite la fotografía de las donantes y ello, según sus propias manifestaciones, con objeto de que este extremo sea valorado convenientemente. Todo ello permite apreciar la existencia de motivos suficientes para la aplicación de la facultad contemplada en el artículo 45.5 de la LOPD y establecer la sanción en la escala de infracciones que precede inmediatamente en gravedad a la aquí imputada, las infracciones leves. Por otra parte, el art. 45.4 recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
  27. a)la existencia de intencionalidad o reiteración,
  28. b)la naturaleza de los perjuicios causados,
  29. c)la reincidencia”. Pues bien la secuencia de hechos expuesta en esta resolución, valorada en aplicación de dichos criterios, permiten que en este caso se considere procedente archivar las actuaciones practicadas contra la entidad Fiv Marbella y la imposición de una sanción en la cuantía de 20.000 € a la entidad Ovavit. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR las actuaciones practicadas contra FIV MARBELLA S.L. al no quedar acreditada la vulneración del artículo 11.1 de la LOPD. SEGUNDO: IMPONER a la entidad OVAVIT S.L., por una infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
  30. k)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45 .1 .2 .4 y . 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a las entidades FIV MARBELLA S.L. y OVAVIT S.L. y a la CONSEJERIA DE IGUALDAD, SALUD Y POLITICAS SOCIALES. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.